Äre VPN schéckt dräi DNS-Serveren: wéien äntwert?

Maacht no der Verbindung d’Säit vun den Astellungen op, an et sti grouss dräi DNS-Adressen; d’Fro vum Audit ass, wéi eng vun hinnen Är lescht Ufro behandelt huet. D’Zuel eleng äntwert op näischt, well en Client-Push, eng kierperlech Interface an eng Politik pro Domain alleguer an déselwecht Vue schreiwen. Dës Entréeë droen ënnerschiddlech Beräicher, an et ass de Beräich, net d’Positioun, dee bestëmmt, wien äntwert. Fänkt domat un, d’Quellen ze trennen, a probéiert dann déi, déi den Numm huet, deen Iech wichteg ass.

Firwat d’Lëscht méi laang ass wéi Äre Profil

E VPN-Client schéckt Resolveradressen fir de Tunnel-Link, an d’Betribssystem hält si niewent deem, wat d’kierperlech Interface schonn hat. E Router, eng Firmen-DHCP-Lease, en zweeten VPN an eng Politik pro Domain bäidroen all hiren eegene Entrée. Dräi Adressen op der Säit kënnen dofir dräi Beräicher bedeiten, net dräi Kandidaten fir eng Aufgab. D’Zuel als Beweis fir en Lach ze liesen ass den éischte Feeler vun dësem Audit.

An enger Interface probéiert e Client seng Serveren tatsächlech der Rei no, sou datt eng geuerdnet Lëscht net sënnlos ass. Wat keng Schlaang ass, ass déi zesummegesate Vue, wou Entréeë vum Profil, vum kierperleche Link a vun de Reegele pro Domain ouni eng eenzeg Rangfolleg niewenteneen stoen. Dee Mësscheed entscheet, wat Dir testt: d’Rei erkläert d’Verhalen an engem Beräich, an de Beräich erkläert alles anescht.

Verschlësselt DNS brécht d’Bild vun bannen aus enger Applikatioun. E Browser oder e Chat-Client mat sengem eegene DNS-over-HTTPS-Resolver schéckt Ufroe komplett laanscht d’Lëscht vum Betribssystem, sou datt d’Adressen op der Astellungssäit Traffic beschreiwen, deen d’App ni generéiert huet. Iwwerpréift d’Resolver-Astellung vun der App selwer, ier Dir de Profil beschëllegt fir en Numm, dee falsch erauskomm ass.

Wat all vun den dräi Kontrollen seet

All Quell hannerléisst hire Spuer op enger anerer Plaz, an et gëtt keen eenzegen Uerder, deen se alleguer weist. Dëst ass d’Mapping, déi et wäert ass, niewent der Astellungssäit ze halen:

Op engem System, deen systemd-resolved benotzt, ass resolvectl status autoritär, well se DNS pro Link zesumme mat den Routing-Domaine mellt. macOS äntwert iwwer scutil --dns, deen d’Resolveren mat Beräich an der Rei vun hire Versich oplëscht. Windows deelt déi zwou Halschent: Get-DnsClientServerAddress fir Serveren pro Interface an Get-DnsClientNrptPolicy fir d’Suffix-Reegelen. Féiert den Uerder aus, deen zu deem Resolver gehéiert, dee tatsächlech benotzt gëtt, well eng Maschinn mat enger Container-Runtime an engem Desktop-Resolver méi wéi een installéiert ka hunn.

En Ersatz-Resolver, deen Är Zone net ka beäntwerten

En zweeten Entrée ass normalerweis do fir d’Disponibilitéit, an d’Disponibilitéit funktionnéiert nëmme wann d’Reserve d’Nimm kennt. Frot en ëffentlechen Resolver no engem internen Hostnumm an en gëtt NXDOMAIN zréck, oder eng Wildcard-Äntwert aus enger Sichdomän, déi näischt mat Iech ze dinn huet. En ongeteste Failover produzéiert dann en Ausfall genau dee Moment, wou en néideg ass.

Split DNS existéiert, fir dat ze verhënneren: Firme-Suffixe ginn un e Resolver, deen d’Zone hält, an ëffentlech Nimm bleiwen um Standardwee. Den Design ass solide, an en hänkt dovun of, datt d’Suffixlëscht komplett ass. Microsoft dokumentéiert d’Resolver-Politik pro Suffix, déi dat op Windows steiert, an déiselwecht Iddi erschéngt als Routing-Domaine an systemd-resolved an als Resolver mat Beräich op macOS.

Vergläicht d’Zonen, déi d’Reserve däerf beäntwerten, mat de Suffixen, déi an der Politik sinn. Dee Verglach fënnt d’Lück, ier e Benotzer mellt, datt eng intern Säit no enger Tunnelännerung opgehalen huet ze léisen.

Frot iwwer d’Politik, net drun laanscht

Frot iwwer den Resolver vum Betribssystem, well eng direkt Ufro un e Server d’Politik ëmgeet an nëmmen mellt, wat dee Server géif soen. D’Lück tëschent den zwou Äntwerten ass de ganzen Punkt:

resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53

Wann d’Systemufro eng privat Adress zréckgëtt, wärend d’direkt Ufro NXDOMAIN zréckgëtt, funktionnéiert d’Politik an d’Reserve ass déi schwaach Plaz. Wann allebéid déiselwecht ëffentlech Äntwert zréckginn, gëtt den Numm ausserhalb vum Beräich opgeléist, deen Dir geduecht hutt, an d’Suffixlëscht ass déi Plaz, wou een nogekuckt. Hält béid Ausgaben, well eng Resolver-Diskussioun mat zwou Zeile séierer decidéiert ass wéi mat engem Screenshot vun der Astellungssäit.

Übt dann de Feelerwee, well eng Reserve, déi keen getest huet, eng Annahm ass. Maacht de bevorzugten Resolver fir eng Ufro zu engem schwaarze Lach a kuckt, wéi eng Adress zréckkënnt:

ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32

Läscht déi Route esou séier wéi d’Ufro fäerdeg ass, soss ierft déi nächst Persoun e Rätsel. Wann intern Nimm an deem Fënster nach opgeléist ginn, huet eppes ausserhalb vum geduechte Beräich se beäntwert. Wa se amplaz afale loossen, feelt d’Reserve oder se ass richteg begrenzt, an de Log vum Resolver seet Iech, wéi eng vun den zwou et war.

Entscheet: behalen, begrenzen oder ewechhuelen

Behält en zweeten Resolver, wann en de benötigten Nummraum beäntwert an ënner dem Profil erreechbar bleift. Begrenzt en, wann en nëmmen ee Suffix a soss näischt gesi soll, an huelt en ewech, wann en weder e Beräich nach en dokumentéierten Zweck huet. En Entrée ouni Aarbecht ass eng zukünfteg Lück ouni Notzen, an eng Standardastellung vum Hiersteller ass keen Zweck.

Halt d’Resultat a véier Kolonnen: Suffix, Resolver, Interface an Eegentümer. Déi Zeil äntwert déi nächst Auditfro séierer wéi all Screenshot, an se iwwerlieft d’Client-Aktualiséierung, déi d’Lëscht roueg ëmsortéiert.